DORA-forordningen

DORA og dens indvirkning på danske finansielle virksomheder og IKT-tjenesteudbydere

DORA er en del af et nyt og bredere europæisk rammeværk rettet mod den finansielle sektor. DORA blev endeligt vedtaget den 28. november 2022 og trådte i kraft den 27. december 2022, hvor den blev offentliggjort i EU’s Official Journal. DORA finder anvendelse for virksomhederne fra den 17. januar 2025 efter en toårig implementeringsperiode. Derfor bør finansielle virksomheder og udbydere af informations- og kommunikationsteknologi (IKT-tjenesteudbydere) begynde at forberede sig allerede nu. 

Rammeværket har til formål at udvikle en styrket, standardiseret og holistisk, europæisk tilgang til it-sikkerhed, der fremmer teknologisk udvikling og sikrer finansiel stabilitet, forbrugerbeskyttelse og større modstandsdygtighed over for forestående cyber- og informationssikkerhedshændelser. Finansielle virksomheder og IKT-tjenesteudbydere skal være i stand til at modstå, reagere og reetablere sig fra påvirkningen af IKT-sikkerhedshændelser, og dermed fortsætte med at være i stand til at levere kritiske og vigtige finansielle tjenester og minimere forstyrrelser for kunder og for samfundet.

DORA giver myndighederne beføjelser til at føre tilsyn med cyber- og IKT-risici i forbindelse med virksomhedens afhængighed af tredjepartsudbydere, fx. cloud-platforme og tilhørende it-sikkerhedstjenester. Følgende opsummerer indholdet i forordningen:

Formålet med DORA er at harmonisere kravene til den finansielle sektors evne til at bygge, forbedre og monitorere den digitale operationelle modstandsdygtighed, som understøtter dens levering af finansielle tjenesteydelser:

• DORA lægger op til ensartede krav for alle EU-medlemslandene

• DORA lægger op til, at finansielle tjenester tester deres systemer baseret på de tilknyttede risici

• DORA introducerer penetrationstest (TLPT) for kritiske aktører

• DORA’s fokus på deling af viden vil hjælpe hele sektoren til at blive mere bevidste og proaktive som led i forberedelsen mod det voksende antal cyberangreb.

• Betalingsinstitutter
• Elektroniske pengeinstitutter
• Pensionsselskaber
• Forsikringsselskaber
• Kreditvurderingsbureauer
• Værdipapircentraler
• Tjenesteudbydere/udstedere af netværksfinansiering
• Udbydere af services til crypto-aktiver
• Tredjepartsudbydere af it-sikkerhedstjenester.
• Kreditinstitutter

Med DORA’s ikrafttrædelse flyttes virksomhedernes fokus fra udelukkende at skulle dokumentere sin finansielle soliditet til nu også at skulle demonstrere, hvordan virksomhederne sikrer opretholdelsen af en modstandsdygtig drift i forbindelse med en hændelse, hvor der kan opstå alvorlige driftsforstyrrelser forårsaget af problemer vedrørende cybersikkerhed og IKT. Ved at indføre en fælles, konsekvent tilsynsmetode, som finder anvendelse på enheder inden for den finansielle sektor, sikrer DORA konvergens og harmonisering af praksis for sikkerhed og modstandsdygtighed i hele EU.

DORA stiller minimumskrav i forhold til lovgivningen inden for fem hovedtemaer:

DORA-forordningen vil påvirke mange afdelinger i virksomhedernes organisering. Mange af disse afdelinger vil allerede være omfattet af eksisterende regler og lovgivning enten på et europæisk eller nationalt niveau. Men DORA vil også sætte nye krav til afdelinger, der ikke tidligere har været omfattet af arbejdet med lovgivning og regler, eksempelvis afdelinger der arbejder med erfaringsbaseret trusselsefterretning og penetrationstest af ændret karakter, og de kræver derfor øget opmærksomhed.

Flere virksomheder har svært ved at få et godt overblik og en forståelse af de vigtigste afhængigheder mellem en virksomhed og virksomhedens IKT-tjenesteudbydere. 

Virksomheder, der er omfattet af forordningen, bør enten påbegynde eller forbedre arbejdet med modstandsdygtighed. Dette uanset hvor langt jeres virksomhed er med jeres digitale og operationelle modstandsdygtighed. En indledende GAP-analyse og modenhedsvurdering er et godt udgangspunkt.